L'enquêteur on-chain pseudonyme ZachXBT affirme s'être fait passer pour un client d'un syndicat de blanchiment chinois qui a déplacé plus d'un milliard de dollars en cryptomonnaies volées pour le compte du groupe Lazarus de Corée du Nord, avançant 349,7K USDC — environ 349 700 $ — de ses propres fonds et acceptant une perte de 5 % sur chaque transaction pour maintenir l'opération en vie.

Dans un thread publié sur X le 5 octobre 2026, ZachXBT a déclaré que ce travail sous couverture avait permis de recueillir des renseignements ayant facilité des gelées d'actifs liées à l'exploit de Bybit de février 2025 et étayé l'attribution on-chain d'activités illicites. L'opération, a-t-il dit, a exposé un cluster de plus de 12 millions de dollars de fonds volés à Bybit, et Tether a ensuite gelé 442 000 USDT qui y étaient liés. Il a ajouté avoir contribué à des gelées de plus de 75 millions de dollars liées à des incidents nord-coréens depuis 2022.

1/ How I infiltrated a Chinese organized crime syndicate that has laundered $1B+ across multiple exploits for Lazarus Group. Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain. pic.twitter.com/jauRRt8875

— ZachXBT (@zachxbt) October 5, 2026

Une cible de 1,5 milliard de dollars

L'exploit au cœur de l'affaire a frappé la plateforme d'échange de cryptomonnaies Bybit en février 2025 et causé des pertes de 1,5 milliard de dollars, le plus grand vol de cryptomonnaies jamais enregistré. Le FBI a attribué l'incident à TraderTraitor, le nom qu'il utilise pour désigner des pirates informatiques nord-coréens. Selon ZachXBT, les blanchisseurs qu'il a approchés étaient un gang chinois travaillant pour la Corée du Nord. Les enquêteurs des Nations unies relient depuis des années les unités de piratage nord-coréennes à des milliards de dollars de cryptomonnaies volées qui contribuent à financer les programmes d'armement du régimen
ZachXBT est probablement l'enquêteur on-chain le plus connu et le plus prolifique de l'écosystème crypto. Ce jeune homme d'une vingtaine d'années, pour l'essentiel pseudonyme, passe depuis des années des fonds volés au peigne fin et dévoile l'identité des auteurs de hacks et d'arnaques, publiant des threads fondés sur des données blockchain publiques que chacun peut vérifier. Il a poursuivi ses enquêtes même après qu'une ancienne cible l'a poursuivi en justice et révélé son identité en 2023.

« Posing as a client, I gathered intel that helped action freezes for the Feb 2025 Bybit exploit and attribute illicit activity onchain », a-t-il écrit.

Repérer un schéma

Le point d'entrée est survenu peu après le hack. « In Feb 2025, shortly after the $1.5B Bybit exploit attributed to the DPRK-linked group 'TraderTraitor,' I observed a pattern of 15+ accounts asking for help with orders directly tied to stolen funds in public groups on Telegram and Discord », a-t-il écrit sur X.

Il a observé le même schéma la semaine dernière après le hack de 387 millions de dollars contre Bitget, que le PDG de Bitget et les sociétés d'analyse blockchain Ellipic et Chainalysis ont relié à la Corée du Nord.

Son expérience en matière de Corée du Nord le plaçait bien pour agir. Le jour du hack de Bybit, il l'a relié au groupe Lazarus grâce aux données on-chain, et le FBI a confirmé cette attribution quelques jours plus tard. Il a également montré que les portefeuilles utilisés pour blanchir les fonds de Bybit étaient liés à des attaques antérieures de Lazarus, notamment les hacks de Phemex et BingX. En 2024, son traçage du vol d'environ 4 100 BTC auprès d'un créancier de Genesis avait contribué à des arrestations. Paradigm l'a recruté comme conseiller en réponse aux incidents en février 2025, le cofondateur Matt Huang indiquant qu'il avait restitué plus de 350 millions de dollars aux victimes de hacks et d'arnaques.

ZachXBT indique que des subventions de fondations et des dons de particuliers financent son travail et lui permettent d'accepter des affaires plus risquées comme celle-ci. Le traçage on-chain est en général passif — lire des registres publics plutôt que toucher à l'argent. En se faisant passer pour un client, il est passé du statut d'observateur à celui de participant, capturant des informations comme l'annonce préalable de mouvements de fonds que les seules données publiques ne pouvaient révéler.

« Jimmy Green »

En 2025, ZachXBT a commencé à écrire aux comptes qui demandaient de l'aide pour des commandes liées à Bybit. L'un d'eux se faisait appeler « Jimmy Green » sur Telegram.

« On Mar 6, 2025, I funded a new address with 349.7K USDC on Ethereum in preparation to conduct several transactions with Jimmy Green », a-t-il déclaré. Jimmy a fourni une adresse pour recevoir l'USDC en échange d'USDT sur Tron. Cette adresse, a écrit ZachXBT, avait été alimentée en gas par un portefeuille qui « is directly traceable to Bybit exploit funds and is labeled on the public Bybit exploit blacklist site ».

« I completed several additional transactions with in order to build up trust », a-t-il dit. « After that, Jimmy began to talk about moving Bybit funds for DPRK in advance of it happening, along with basic details about their operation in [Hong Kong] and mainland China. »

Pour ZachXBT, la preuve de la prescience de Jimmy était simple : « one day prior he stated funds would be moved to Solana and the next day they were ».

Rester dans la course avait un coût. « At this point, I realized I needed to continue losing 5% per order and gamble on capturing as much actionable intel as quickly as possible », a-t-il écrit. « For this case, I fronted $349.7K and lost 5% on each order, with no guarantee Jimmy wouldn't disappear with the funds, and an unknown amount of personal risk from dealing with the syndicate », a-t-il dit.

Jimmy était avide d'affaires supplémentaires. Le 10 mars, il a inlassablement relancé la fausse identité jusqu'à ce que ZachXBT, restant dans son rôle, déclare que ce harcèlement lui faisait « lose trust in your business ». Jimmy a répondu que « the team has prepared $1 million and is ready to start work at any time! »

Dans une autre conversation, Jimmy a décrit l'organisation de l'équipe : « We have different divisions of labor. We take the u and distribute it to different acceptors. » Le « u », a noté ZachXBT, serait apparemment l'abréviation d'USDT, le stablecoin émis par Tether.

La récompense on-chain

Les conversations se sont traduites en preuves vérifiables. ZachXBT a écrit que le 12 mars 2025, il a fait correspondre une capture d'écran envoyée par Jimmy montrant son propre transfert de fonds vers une chaîne croisée avec une commande créée dans les minutes suivant le message, en utilisant les montants et horodatages visibles sur l'explorateur Thorchain, un registre public des échanges sur le protocole décentralisé qui déplace des coins directement entre blockchains.

Jimmy a ensuite partagé trois adresses Solana. Elles ont exposé un cluster de plus de 12 millions de dollars de butin de Bybit échangé en temps réel, passant de Bitcoin à Ether, puis à Solana et enfin à Tron. Tether a ensuite gelé 442 000 USDT liés au cluster. Ce gel illustre l'un des rares leviers concrets de la crypto : une fois la valeur volée convertie en tokens comme l'USDT, l'émetteur peut verrouiller les actifs sur une adresse signalée.

Jimmy a également livré des détails que ZachXBT pouvait vérifier de manière indépendante. Il a dit qu'une équipe qu'il connaissait avait eu environ 300K $ gelés en 2024 ; ZachXBT a retrouvé le gel on-chain. Le montant réel était de 332 000 USDC, volés lors de l'exploit de Poloniex — le hack de novembre 2023 qui a drainé plus de 100 millions de dollars de la plateforme et que les chercheurs ont relié au groupe Lazarus nord-coréen.

Le lien cambodgien

Jimmy a aussi déclaré avoir blanchi 3 millions de dollars de produits de fraude pour un autre client. ZachXBT a tracé ces fonds jusqu'à un hot wallet utilisé par Huione Guarantee, une place de marché Telegram où des criminels vendaient des services de blanchiment et des données volées.

Huione Guarantee fait partie de Huione Group, le conglomérat cambodgien que la FinCEN du Trésor américain a ciblé pour blanchiment présumé d'au 4 milliards de dollars. Telegram a interdit la place de marché en mai 2025, et les autorités chinoises ont arrêté l'ancien président de Huione Group, Li Xiong, après que le Cambodge l'a expulsé.

Tous les échanges n'ont pas porté sur la criminalité. « Throughout our conversations, Jimmy and I had a lot of small talk in between discussing laundering for DPRK », a déclaré ZachXBT. « He talked about playing mahjong, hunting wild rabbits, food, his fat reducing meal, family life, and vacations at Disney. »

Des résultats documentés

L'opération n'était pas un cas isolé. « Since 2022, I have helped action $75M+ in freezes related to DPRK incidents », a écrit ZachXBT.

Il a indiqué que ses conclusions ont été transmises immédiatement à des enquêteurs privés de confiance et aux forces de l'ordre chargées de l'affaire, et que la sensibilité de l'enquête l'avait empêché de publier plus tôt. Le thread ne nomme aucun individu derrière le syndicat et ne décrit aucune arrestation issue de l'opération, laissant d'éventuelles nouvelles gelées ou actions coercitives fondées sur les renseignements transmis comme prochain évolution à surveiller.